Интернет-магазин компьютерной техники Arvutitark — одна загрузка страницы и шесть переходов по разделам, 165 запросов. В записи нет ни одного аналитического или рекламного обращения, из сторонних адресов — только шрифты Google. Но отказа на первом слое баннера нет, а политика 2018 года не говорит ни о cookie, ни об аналитике, ни о рекламе, которые обещает баннер, и не содержит права отозвать согласие.
Хронология обращений
Декларация против факта
Тайминги передачи
Шрифты Google; в политике не названы.
Проверка ботов Cloudflare (/cdn-cgi/challenge-platform).
Последний переход записи, сторонних обращений нет.
Зафиксированные трекеры
- Google Fonts (fonts.googleapis.com, fonts.gstatic.com) — шрифты; единственные сторонние адреса в записи
- Cloudflare — инфраструктура сайта и проверка ботов (/cdn-cgi/challenge-platform)
- Аналитических и рекламных обращений в записи нет
- Первая сторона: arvutitark.ee, media.arvutitark.ee, cms.arvutitark.ee, static.arvutitark.ee
Признаки несоответствия GDPR
- GDPR Art. 4(11) / Art. 7(3) — на первом слое баннера нет отказаПервый слой баннера предлагает «Haldan» и «Nõustun». Кнопки отказа нет. Чтобы отказаться, посетитель должен открыть настройки, оставить флажки «Analüütilised küpsised» и «Turundusküpsised» пустыми и нажать «Kinnitan». Согласие даётся одним нажатием, отказ — минимум двумя. Баннер при этом прямо называет цели: персонализированная реклама или контент и анализ трафика.
- GDPR Art. 13(1)(c), 13(1)(e) / Art. 5(1)(a) — политика не говорит о cookie, аналитике и рекламеУсловия защиты персональных данных Arvutitark OÜ (последнее обновление 29.05.2018) не упоминают ни cookie, ни веб-аналитику, ни рекламу. Баннер тем временем сообщает, что cookie используются для персонализированной рекламы и анализа трафика. Цели, основания и получатели этой обработки нигде не описаны. Google Fonts и Cloudflare, которые в замере получают обращения браузера, в политике не названы. Не назван и посредник криптоплатежей CoinsPaid, к которому сайт направляет покупателя при оплате криптовалютой.
- GDPR Art. 13(2)(c) — нет права отозвать согласиеПолитика ссылается на согласие клиента (пункты 3 и 6.3), а баннер запрашивает согласие на cookie. Но в перечне прав клиента (пункт 5) права в любой момент отозвать согласие нет.
Контекст
arvutitark.ee — интернет-магазин и сеть салонов компьютерной техники Arvutitark: продажа, рассрочка через кредиторов, ремонт и гарантийное обслуживание, оплата криптовалютой через посредника CoinsPaid. Обработчик — Arvutitark OÜ (рег. код 12494674, Järveotsa tee 50c, Таллинн). Баннер cookie собственный, внешней платформы согласия в записи нет.
Замер — одна запись: страница о криптоплатежах и шесть переходов по разделам без перезагрузки. Всего 165 запросов за 43 секунды, большинство — скрипты приложения и изображения.
Кому уходят данные напрямую
Google — шрифты. Cloudflare — инфраструктура сайта и проверка ботов. При оплате криптовалютой — посредник CoinsPaid (по скриншотам).
Заявленное против фактического
Первое — отказ спрятан во втором слое. На первом слое только «Haldan» и «Nõustun». Чтобы отказаться, нужно открыть настройки и нажать «Kinnitan» с пустыми флажками. Баннер при этом прямо называет персонализированную рекламу и анализ трафика.
Второе — политика молчит о том, о чём говорит баннер. Условия защиты данных не обновлялись с 2018 года. Слов «cookie», «аналитика» и «реклама» в них нет. Получатели названы — кредиторы рассрочки и службы доставки. Google, Cloudflare и посредник криптоплатежей не названы.
Третье — нет права отозвать согласие. Условия опираются на согласие клиента, баннер его запрашивает, но в перечне прав отзыва согласия нет.
Согласие: что доказано и что нет
Доказано: отказа на первом слое нет. Скриншот 1; выбор категорий и «Kinnitan» — только на скриншоте 2.
Доказано: в записи нет аналитики и рекламы. Из сторонних адресов — только fonts.googleapis.com и fonts.gstatic.com.
Доказано: политика не упоминает cookie, аналитику и рекламу. Поиск по сохранённому тексту.
Не установлено: что происходит до выбора. Запись начата посередине визита: показ баннера, решение и первая загрузка главной в неё не попали.
Не установлено: какое решение принято. На скриншоте 2 аналитика и маркетинг не отмечены, но запроса с решением в записи нет.
Границы наблюдения
Замер охватывает публичные страницы магазина после того, как выбор в баннере уже был сделан. Оформление заказа и криптоплатёж зафиксированы только скриншотами. Наблюдение фиксирует поведение браузера, а не серверную обработку. Файл опубликован очищенным: удалены заголовки Cookie.
Правовую оценку выносит компетентный орган — Andmekaitse Inspektsioon, который назван в самих условиях.
Вывод
В записанной части визита Arvutitark не отправляет данные ни аналитике, ни рекламе. Нарушения — в баннере и в документах. Отказ требует лишнего шага. Политика 2018 года не описывает cookie, аналитику и рекламу, о которых говорит баннер, не называет внешних получателей и не сообщает о праве отозвать согласие.
Устранение: вынести отказ на первый слой рядом с «Nõustun»; дополнить условия разделом о cookie с целями, основаниями, сроками и получателями, назвать Google, Cloudflare и CoinsPaid, добавить право отозвать согласие.
Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.
463a507a0cd946b4c2a9a5b7eecfa48d37712c97c4de96d0dc935cde7007df3d
Хотите получить ответ от компании по этому разбору? → Открыть инструмент
Впишите один раз — подставится во все письма ниже:
Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.
RIA DigiDoc — телефон · Smart-ID / Mobile-ID
Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).
Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — arvutitark.ee Кому: [укажите адрес компании — DPO / поддержка / юридический отдел] От: [Ваше имя], [контактный email] Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта arvutitark.ee. 1. Категории данных и цели обработки (ст. 15(1)(a)-(c)) На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки: 1) Первый слой баннера предлагает «Haldan» и «Nõustun». Кнопки отказа нет. Чтобы отказаться, посетитель должен открыть настройки, оставить флажки «Analüütilised küpsised» и «Turundusküpsised» пустыми и нажать «Kinnitan». Согласие даётся одним нажатием, отказ — минимум двумя. Баннер при этом прямо называет цели: персонализированная реклама или контент и анализ трафика. 2) Условия защиты персональных данных Arvutitark OÜ (последнее обновление 29.05.2018) не упоминают ни cookie, ни веб-аналитику, ни рекламу. Баннер тем временем сообщает, что cookie используются для персонализированной рекламы и анализа трафика. Цели, основания и получатели этой обработки нигде не описаны. Google Fonts и Cloudflare, которые в замере получают обращения браузера, в политике не названы. Не назван и посредник криптоплатежей CoinsPaid, к которому сайт направляет покупателя при оплате криптовалютой. 3) Политика ссылается на согласие клиента (пункты 3 и 6.3), а баннер запрашивает согласие на cookie. Но в перечне прав клиента (пункт 5) права в любой момент отозвать согласие нет. 2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46) Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/ee-arvutitark-ee/ 3. Автоматизированная обработка и профилирование (ст. 15(1)(h)) Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки. С уважением, [Ваше имя] [контактный email] [Страна] [Дата]
Subject: Data access request (GDPR Art. 15) — arvutitark.ee To: [insert the company's address — DPO / support / legal department] From: [Your name], [contact email] I request access to my personal data processed in connection with the website arvutitark.ee. 1. Categories of data and purposes of processing (Art. 15(1)(a)-(c)) Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing: 1) The first layer of the banner offers 'Haldan' and 'Nõustun'. There is no refusal button. To refuse, the visitor must open the settings, leave the 'Analüütilised küpsised' and 'Turundusküpsised' boxes unchecked and press 'Kinnitan'. Consent takes a single click, refusal at least two. Meanwhile the banner names the purposes outright: personalised advertising or content and traffic analysis. 2) The personal data protection terms of Arvutitark OÜ (last updated 29.05.2018) mention neither cookies, nor web analytics, nor advertising. The banner, meanwhile, states that cookies are used for personalised advertising and traffic analysis. The purposes, legal bases and recipients of this processing are described nowhere. Google Fonts and Cloudflare, which receive browser requests in the capture, are not named in the policy. Nor is the crypto payment intermediary CoinsPaid, to which the site directs the buyer when paying in cryptocurrency. 3) The policy refers to the customer's consent (sections 3 and 6.3), and the banner asks for consent to cookies. But the list of customer rights (section 5) does not include the right to withdraw consent at any time. 2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46) I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/ee-arvutitark-ee/ 3. Automated processing and profiling (Art. 15(1)(h)) Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved. Sincerely, [Your name] [contact email] [Country] [Date]
Teema: Isikuandmetele juurdepääsu taotlus (IKÜM art 15) — arvutitark.ee Kellele: [märkige ettevõtte aadress — DPO / tugi / juriidiline osakond] Kellelt: [Teie nimi], [kontakt-e-post] Palun anda mulle juurdepääs minu isikuandmetele, mida töödeldakse seoses veebisaidi arvutitark.ee kasutamisega. 1. Andmekategooriad ja töötlemise eesmärgid (IKÜM art 15(1)(a)-(c)) Sõltumatu tehnilise analüüsi põhjal palun kinnitada ja üksikasjalikult avaldada järgmised töötlemiskategooriad: 1) Bänneri esimene kiht pakub nuppe „Haldan“ ja „Nõustun“. Keeldumise nuppu ei ole. Keeldumiseks peab külastaja avama seaded, jätma märkeruudud „Analüütilised küpsised“ ja „Turundusküpsised“ tühjaks ning vajutama „Kinnitan“. Nõusolek antakse ühe vajutusega, keeldumine nõuab vähemalt kahte. Samas nimetab bänner otse eesmärgid: isikupärastatud reklaam või sisu ja liikluse analüüs. 2) Arvutitark OÜ isikuandmete kaitse tingimused (viimati uuendatud 29.05.2018) ei maini küpsiseid, veebianalüütikat ega reklaami. Bänner teatab samal ajal, et küpsiseid kasutatakse isikupärastatud reklaamiks ja liikluse analüüsiks. Selle töötlemise eesmärke, aluseid ega vastuvõtjaid ei ole kusagil kirjeldatud. Google Fontsi ja Cloudflare'i, kelle poole brauser mõõtmise käigus pöördub, tingimustes ei nimetata. Nimetamata on ka krüptomaksete vahendaja CoinsPaid, kelle juurde veebileht ostja krüptorahaga tasumisel suunab. 3) Tingimused viitavad Kliendi nõusolekule (punktid 3 ja 6.3) ning bänner küsib küpsiste kasutamiseks nõusolekut. Kliendi õiguste loetelus (punkt 5) puudub aga õigus nõusolek igal ajal tagasi võtta. 2. Vastuvõtjad, säilitustähtajad ja edastamine väljapoole EMP-d (IKÜM art 15(1)(c)-(d), 46) Palun samuti esitada täielik loetelu kolmandatest isikutest vastuvõtjatest, iga kategooria puhul kohaldatavad säilitustähtajad ning andmete EMP-välisele edastamisele kohaldatav õiguslik alus, kui selline edastamine toimub. Täielik tehniline analüüs koos tõenditega (salvestatud võrgulogi, SHA-256 kontrollsumma) on avaldatud aadressil: https://gdpru.eu/audits/ee-arvutitark-ee/ 3. Automatiseeritud töötlemine ja profiilianalüüs (IKÜM art 15(1)(h)) Palun teatada, kas minu suhtes kohaldatakse automatiseeritud otsuste tegemist või profiilianalüüsi, ning kui jah, siis avaldada selle loogika. Lugupidamisega, [Teie nimi] [kontakt-e-post] [Riik] [Kuupäev]
RIA DigiDoc — телефон · Smart-ID / Mobile-ID
Куда подавать: AKI — Эстонский надзорный орган по защите данных — напишите на info@aki.ee
Важно: AKI рассматривает обращения только на эстонском языке. Переведите письмо перед отправкой.
Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)
Тема: Жалоба на обработку персональных данных — arvutitark.ee 1. Предмет жалобы Я подаю жалобу в отношении обработки моих персональных данных сайтом arvutitark.ee. 2. Обстоятельства Я посетил сайт arvutitark.ee и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 03.10.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки: 1) Первый слой баннера предлагает «Haldan» и «Nõustun». Кнопки отказа нет. Чтобы отказаться, посетитель должен открыть настройки, оставить флажки «Analüütilised küpsised» и «Turundusküpsised» пустыми и нажать «Kinnitan». Согласие даётся одним нажатием, отказ — минимум двумя. Баннер при этом прямо называет цели: персонализированная реклама или контент и анализ трафика. 2) Условия защиты персональных данных Arvutitark OÜ (последнее обновление 29.05.2018) не упоминают ни cookie, ни веб-аналитику, ни рекламу. Баннер тем временем сообщает, что cookie используются для персонализированной рекламы и анализа трафика. Цели, основания и получатели этой обработки нигде не описаны. Google Fonts и Cloudflare, которые в замере получают обращения браузера, в политике не названы. Не назван и посредник криптоплатежей CoinsPaid, к которому сайт направляет покупателя при оплате криптовалютой. 3) Политика ссылается на согласие клиента (пункты 3 и 6.3), а баннер запрашивает согласие на cookie. Но в перечне прав клиента (пункт 5) права в любой момент отозвать согласие нет. Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/ee-arvutitark-ee/ 3. Положения GDPR, соблюдение которых прошу проверить GDPR Art. 4(11) / Art. 7(3) — на первом слое баннера нет отказа; GDPR Art. 13(1)(c), 13(1)(e) / Art. 5(1)(a) — политика не говорит о cookie, аналитике и рекламе; GDPR Art. 13(2)(c) — нет права отозвать согласие 4. Требование Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR. 5. Приложения Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше. С уважением, [Ваше имя] [контактный email] [Страна] [Дата]
Subject: Complaint regarding personal data processing — arvutitark.ee 1. Subject of the complaint I am filing a complaint regarding the processing of my personal data by the website arvutitark.ee. 2. Circumstances I visited the website arvutitark.ee and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 3 October 2026 (open methodology, reproducible measurements) documents the following indications: 1) The first layer of the banner offers 'Haldan' and 'Nõustun'. There is no refusal button. To refuse, the visitor must open the settings, leave the 'Analüütilised küpsised' and 'Turundusküpsised' boxes unchecked and press 'Kinnitan'. Consent takes a single click, refusal at least two. Meanwhile the banner names the purposes outright: personalised advertising or content and traffic analysis. 2) The personal data protection terms of Arvutitark OÜ (last updated 29.05.2018) mention neither cookies, nor web analytics, nor advertising. The banner, meanwhile, states that cookies are used for personalised advertising and traffic analysis. The purposes, legal bases and recipients of this processing are described nowhere. Google Fonts and Cloudflare, which receive browser requests in the capture, are not named in the policy. Nor is the crypto payment intermediary CoinsPaid, to which the site directs the buyer when paying in cryptocurrency. 3) The policy refers to the customer's consent (sections 3 and 6.3), and the banner asks for consent to cookies. But the list of customer rights (section 5) does not include the right to withdraw consent at any time. Full technical documentation is published at: https://gdpru.eu/audits/ee-arvutitark-ee/ 3. GDPR provisions I ask you to examine GDPR Art. 4(11) / Art. 7(3) — no refusal on the first layer of the banner; GDPR Art. 13(1)(c), 13(1)(e) / Art. 5(1)(a) — the policy says nothing about cookies, analytics or advertising; GDPR Art. 13(2)(c) — no right to withdraw consent 4. Request I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR. 5. Attachments The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above. Sincerely, [Your name] [contact email] [Country] [Date]
1. Kaebuse ese Esitan kaebuse seoses minu isikuandmete töötlemisega veebisaidil arvutitark.ee. 2. Asjaolud Külastasin veebisaiti arvutitark.ee ja tuvastasin märke sellest, et minu isikuandmete töötlemine ei vasta isikuandmete kaitse üldmääruse (IKÜM) nõuetele. Tehniline analüüs, mis on avaldatud aadressil gdpru.eu 03.10.2026 (avatud metoodika, korratavad mõõtmised), dokumenteerib järgmist: 1) Bänneri esimene kiht pakub nuppe „Haldan“ ja „Nõustun“. Keeldumise nuppu ei ole. Keeldumiseks peab külastaja avama seaded, jätma märkeruudud „Analüütilised küpsised“ ja „Turundusküpsised“ tühjaks ning vajutama „Kinnitan“. Nõusolek antakse ühe vajutusega, keeldumine nõuab vähemalt kahte. Samas nimetab bänner otse eesmärgid: isikupärastatud reklaam või sisu ja liikluse analüüs. 2) Arvutitark OÜ isikuandmete kaitse tingimused (viimati uuendatud 29.05.2018) ei maini küpsiseid, veebianalüütikat ega reklaami. Bänner teatab samal ajal, et küpsiseid kasutatakse isikupärastatud reklaamiks ja liikluse analüüsiks. Selle töötlemise eesmärke, aluseid ega vastuvõtjaid ei ole kusagil kirjeldatud. Google Fontsi ja Cloudflare'i, kelle poole brauser mõõtmise käigus pöördub, tingimustes ei nimetata. Nimetamata on ka krüptomaksete vahendaja CoinsPaid, kelle juurde veebileht ostja krüptorahaga tasumisel suunab. 3) Tingimused viitavad Kliendi nõusolekule (punktid 3 ja 6.3) ning bänner küsib küpsiste kasutamiseks nõusolekut. Kliendi õiguste loetelus (punkt 5) puudub aga õigus nõusolek igal ajal tagasi võtta. Täielik tehniline dokumentatsioon on avaldatud aadressil: https://gdpru.eu/audits/ee-arvutitark-ee/ 3. Sätted, mille järgimist palun kontrollida IKÜM art 4 p 11 / art 7 lg 3 — bänneri esimesel kihil puudub keeldumine; IKÜM art 13 lg 1 p c, e / art 5 lg 1 p a — poliitika ei räägi küpsistest, analüütikast ega reklaamist; IKÜM art 13 lg 2 p c — puudub õigus nõusolek tagasi võtta 4. Nõue Palun kontrollida kirjeldatud asjaolusid ja mittevastavuse kinnitamisel kohaldada IKÜM artikli 58 lõikes 2 ette nähtud meetmeid. 5. Lisad Täielik tõendusmaterjal — HAR-fail, kontrollsumma SHA-256 ning veebisaidi privaatsuspoliitika tsitaat, mis dokumenteerib nimetatud vastuolu — on avaldatud ja kontrollitav punktis 2 viidatud lingil. Lugupidamisega, [Teie nimi] [kontakt-e-post] [Riik] [Kuupäev]